Appareils partagés en Europe : quel MDM gère le mieux les changements d'équipe en 2026

Gérer des appareils partagés avec un MDM n'a pas grand-chose à voir avec la gestion d'un téléphone par salarié, et la plupart des listes de fonctionnalités des éditeurs le masquent. Une tablette qui passe entre trois équipes doit oublier la personne précédente, retrouver la suivante, et le faire en moins d'une minute à la prise de poste. Au programme : ce qui change vraiment sur le plan technique, les questions européennes qui tranchent la plupart des dossiers d'achat, et une lecture honnête de huit solutions à la date de septembre 2026.

Ce qu'un appareil partagé change pour votre MDM

Un appareil, un propriétaire, un enrôlement. Cette hypothèse se cache sous presque toutes les fonctions MDM que vous connaissez : le rapport de conformité, l'attribution des apps, le certificat, la politique de code. Cassez-la et quatre sujets demandent une réponse.

• Les sessions. Quelqu'un doit se connecter, et le MDM doit savoir qui. Soit le système d'exploitation porte la session (l'iPad partagé d'Apple, les utilisateurs secondaires d'Android), soit c'est votre fournisseur d'identité (le mode appareil partagé de Microsoft Entra), soit vous vous passez complètement d'identité et l'appareil devient un équipement mutualisé rattaché à un lieu.
• L'effacement des données entre deux utilisateurs. C'est là que les déploiements échouent sans bruit. Apple n'efface rien : le stockage est partitionné par compte Apple géré, donc les fichiers de l'infirmière précédente restent dans sa partition et sont simplement inaccessibles. Les utilisateurs éphémères d'Android prennent le chemin inverse et suppriment l'utilisateur entier à la déconnexion ou au redémarrage. Le mode appareil partagé d'Entra ne fait ni l'un ni l'autre par lui-même, il signale à l'app que l'utilisateur a changé et c'est à l'app de vider son propre cache.
• Apps et données par personne. Un préparateur de commandes et un chef d'équipe qui partagent le même scanner n'ont pas forcément besoin des mêmes apps. Peu de plateformes gèrent bien l'attribution d'apps par utilisateur sur un appareil partagé. En pratique, on installe donc l'union de toutes les apps et on filtre les accès à l'intérieur.
• La rotation. Quarante appareils, 120 personnes, trois équipes. L'appareil charge dans une armoire à 5 h et roule sur un chariot élévateur à 6 h. L'enrôlement doit survivre à une réinitialisation d'usine sans passage par la DSI, et c'est pour cela que les flottes partagées s'appuient sur l'enrôlement Android zero-touch et sur l'Automated Device Enrollment d'Apple plutôt que sur une configuration manuelle.

Autant être direct sur un point : vous n'avez pas toujours besoin de sessions. Une bonne partie de ce qu'on appelle gestion d'appareils partagés est en réalité un appareil dédié verrouillé sur une seule app, où l'« utilisateur » est le rayon du magasin et non une personne. C'est un problème bien moins coûteux à résoudre. Déterminez lequel des deux est le vôtre avant de présélectionner quoi que ce soit.

Les critères européens qui font la décision

L'écart fonctionnel entre les grandes plateformes UEM est plus faible que les éditeurs ne l'admettent. Dans un appel d'offres européen, quatre choses les séparent vraiment, et seule la première figure en général dans le cahier des charges.

Où résident les données de la console. Une console MDM contient tout votre parc : chaque appareil, son utilisateur, sa version d'OS, son niveau de correctifs, souvent la liste des apps installées. Cet inventaire est une cible en soi. Microsoft documente que la zone géographique Europe d'Intune utilise uniquement des centres de données situés dans l'UE et l'AELE, mais aussi que cette zone est déterminée par le pays de votre annuaire Microsoft Entra et ne peut pas être modifiée ensuite (une demande de migration peut prendre jusqu'à 24 mois). À vérifier avant de provisionner, pas après.

Les sous-traitants ultérieurs et le droit qui les atteint. Au sens de l'article 28 du RGPD, votre éditeur MDM est un sous-traitant, et depuis Schrems II vous documentez l'outil de transfert pour tout ce qui sort de l'UE. Un éditeur hébergé à Francfort sur un cloud à capitaux américains reste dans le périmètre de cette analyse. La qualification SecNumCloud est le seul référentiel européen qui teste directement l'immunité au droit extra-européen, structure capitalistique du prestataire comprise, et c'est pourquoi on la retrouve dans les appels d'offres des hôpitaux français et des fournisseurs de la défense.

NIS2 pour les secteurs essentiels. NIS2 ne mentionne jamais le MDM. La directive demande un inventaire des actifs, du contrôle d'accès, du MFA, de la cryptographie et de la gestion des correctifs, plus une alerte précoce dans les 24 heures suivant un incident important. Si vous exploitez des tablettes partagées dans la santé, l'eau, les transports ou l'industrie, ce délai de 24 heures est votre cahier des charges : quand un appareil disparaît d'un service hospitalier, pouvez-vous dire le jour même qui s'y est connecté en dernier, si le stockage était chiffré, et si l'effacement a bien été confirmé ?

Un support dans la langue de ceux qui appellent. Peu glamour et décisif. Un chef d'entrepôt à Lyon ou à Bologne qui ouvre un ticket à 6 h du matin ne veut pas d'un fuseau horaire américain. Demandez les horaires du support par région et les langues de la console elle-même, pas seulement celles de la présentation commerciale.

Les huit solutions côte à côte

L'hébergement indiqué ci-dessous reprend ce que chaque éditeur affirme sur ses propres pages de documentation en septembre 2026. Quand nous n'avons pas pu vérifier une affirmation sur une page officielle, le tableau le dit au lieu de deviner.

Comment chacune gère réellement les appareils partagés

Microsoft Intune

La couverture la plus large des huit, parce que Microsoft possède les deux moitiés du problème. Le mode appareil partagé d'Entra offre une seule connexion et une seule déconnexion pour toutes les apps qui le prennent en charge, sur iOS, iPadOS et Android. Intune pousse Microsoft Authenticator avec le mode appareil partagé activé, et sur iOS il active aussi le plug-in Enterprise SSO.

Le hic, c'est la prise en charge côté apps. Si une app n'implémente pas le mode appareil partagé via MSAL, l'utilisateur n'en tire aucun bénéfice et l'app conserve ses données en cache. Votre app métier demande du développement, et ce développement est à votre charge. Microsoft précise aussi que des MDM tiers peuvent configurer le mode appareil partagé sur Android : vous n'êtes donc pas enfermé dans Intune pour l'utiliser.

Côté hébergement, Intune est honnête dans sa documentation et le détail compte : votre zone géographique suit le pays de votre annuaire Entra et vous ne pouvez plus la changer ensuite.

Jamf Pro

Si votre flotte partagée se compose d'iPad et de rien d'autre, Jamf propose l'implémentation d'iPad partagé la plus aboutie du marché, et c'est à l'hôpital que cela se voit. Des tablettes de service qui restent dans la chambre plutôt qu'avec l'infirmière, des comptes Apple gérés fédérés avec Entra ID, la configuration d'Apple exposée telle quelle, sans couche de traduction.

Une seule plateforme. Tout le compromis est là. Ajoutez des scanners Android au même projet et vous achetez un second outil. La présentation sécurité de Jamf liste des serveurs aux États-Unis, au Royaume-Uni, en Allemagne, au Japon et en Australie, les données au repos restant dans la région d'hébergement. L'Allemagne couvre la plupart des exigences de l'UE ; le Royaume-Uni est un pays tiers au regard des transferts, donc vérifiez dans quelle région votre instance a atterri.

SOTI MobiControl

Conçu pour le matériel durci, et cela se voit là où personne d'autre ne se donne la peine d'aller : réglages des scanners Zebra et Honeywell, contrôle du firmware par constructeur, scripts qui résistent aux gants et aux chambres froides. Les logisticiens européens ne l'utilisent pas par hasard. SOTI vend aussi toujours une version sur site, l'instrument radical face à une exigence de résidence des données non négociable.

Il est plus lourd à exploiter que les outils du mid-market, et la console accuse son âge à côté de Scalefusion. SOTI met en avant un hébergement cloud dans l'UE, mais nous n'avons pas trouvé de page publique nommant les régions exactes. Posez donc la question par écrit pendant la phase d'achat.

Scalefusion

Le dossier d'hébergement le mieux documenté parmi les éditeurs non européens. Sa documentation sécurité nomme les centres de données (Irlande, Pays-Bas, Allemagne et États-Unis) et indique que les données des clients de l'UE restent dans des centres de données de l'UE, avec en prime une certification ISO/IEC 27001:2022 et un SOC 2 Type 2. Le multi-utilisateur Android et le kiosque fonctionnent bien, l'iPad partagé est pris en charge, et la console est agréable.

Cloud uniquement : l'auto-hébergement et les réseaux isolés sont exclus. L'entreprise est à capitaux indiens avec un hébergement dans l'UE, ce qui satisfait la résidence RGPD mais pas une exigence de souveraineté qui examine l'actionnariat.

Appaloosa

Notre propre position, dite sans détour. La gestion des appareils partagés d'Appaloosa prend en charge l'iPad partagé avec un compte Apple géré par personne, le mode kiosque sur Android et sur iPadOS supervisé, et des appareils mutualisés rattachés à un site ou à un rôle plutôt qu'à un propriétaire nommé. Toute la plateforme est hébergée en France sur une infrastructure qualifiée SecNumCloud, et le tarif public est de 3,49 € par appareil et par mois en Business (50 appareils minimum) ou de 5,49 € en Enterprise (100 minimum), avec un essai de 14 jours sans carte bancaire. La console et le support existent en français, en anglais, en allemand et en espagnol.

Deux limites qui méritent d'être dites à voix haute. Appaloosa ne documente pas de profils secondaires Android par utilisateur : son approche du partage sur Android repose sur un appareil dédié, un kiosque et une remise à zéro propre via zero-touch, ce qui couvre les scanners et les terminaux de magasin, mais pas un entrepôt qui a réellement besoin de sessions utilisateur Android distinctes et persistantes. Et Appaloosa ne détient elle-même aucune certification ISO 27001 ; la qualification SecNumCloud appartient à l'hébergeur, pas à nous. Quiconque vous affirme le contraire est en train de vendre.

Hexnode UEM

Un bon rapport qualité-prix, une large couverture des plateformes, et un kiosque qui gère le verrouillage multi-app sans trop de bagarre. Hexnode documente un hébergement sur AWS réparti entre des sites UE et US, avec une instance attribuée selon votre localisation ou sur demande, ce qui est moins précis que ce que publie Scalefusion. Suffisant pour une chaîne de magasins, plus léger pour une entité essentielle NIS2 qui doit nommer la région lors d'un audit.

Samsung Knox Manage

Si votre flotte est Samsung et le restera, Knox Manage atteint des contrôles matériels que les MDM généralistes n'obtiennent que par OEMConfig. La documentation de Samsung est claire : il existe deux serveurs mondiaux, US et UE, et la région est celle que vous choisissez à la création du tenant. Standardiser sur le matériel d'un seul constructeur reste une vraie contrainte, et les parcs mixtes avec de l'Apple vous poussent ailleurs.

Ivanti Neurons for MDM

Compétent, et en général la réponse quand Ivanti gère déjà votre parc de postes. Les configurations Android partagées et dédiées sont là. Nous n'avons pas pu vérifier les régions d'hébergement européennes sur une page publique d'Ivanti. Ce n'est pas une accusation, juste un vide à combler par une réponse écrite avant de signer.

Ce que nous choisirions par secteur

Retail. Les tablettes de magasin sont en général des équipements mutualisés, pas personnels. Un kiosque et une identité d'appareil rattachée au lieu valent mieux que des sessions par utilisateur, et ce qui compte, c'est une remise à zéro propre quand un appareil revient d'un magasin en panne. Appaloosa, Scalefusion ou Hexnode conviennent tous ; Intune ne mérite vraiment sa place que si le personnel dispose déjà de licences Microsoft 365 frontline.

Santé. iPad partagé avec comptes Apple gérés, point final. Ce sont les partitions par utilisateur qui permettent à une infirmière d'ouvrir ses propres notes sur une tablette de service sans voir celles de l'équipe précédente. Jamf si vous êtes 100 % Apple et que vous avez le budget ; Appaloosa si un hébergement en France ou dans l'UE est une exigence ferme et que le parc est de taille moyenne.

Logistique. Android durci, trois équipes, des scanners malmenés. SOTI pour la profondeur sur le matériel Zebra et Honeywell, ou Scalefusion si vous voulez du multi-utilisateur Android avec un hébergement UE plus lisible. C'est le seul secteur où les utilisateurs secondaires Android persistants sont réellement rentables, parce que les chauffeurs conservent leurs données de tournée d'un poste à l'autre.

Industrie. Les tablettes d'atelier sont des appareils dédiés déguisés en appareils partagés : une app MES ou qualité, des gants, pas de clavier. Verrouillez l'appareil sur l'app et arrêtez-vous là. Si l'hébergement compte ici, c'est à cause du périmètre NIS2, puisqu'une grande partie de l'industrie est entrée dans un champ que NIS1 laissait de côté.

À lire aussi : RMM vs MDM : quelles différences pour les équipes IT ? · MDM santé : sécuriser les terminaux à l'hôpital et en pharma · MDM pour les travailleurs de terrain : gérer les appareils sans bureau

FAQ

Peut-on utiliser l'iPad partagé sans Apple Business Manager ?

Non. L'iPad partagé exige un iPad supervisé enrôlé via l'Automated Device Enrollment, ce qui signifie qu'il a été attribué à votre MDM dans Apple Business Manager ou Apple School Manager, plus un compte Apple géré par utilisateur. Faire entrer un appareil dans le mode iPad partagé ou l'en faire sortir l'efface : il n'existe donc pas de conversion sur place d'un iPad personnel. Le plancher de stockage fixé par Apple est de 32 Go, et tous ceux qui exploitent ce mode en production vous diront d'acheter 128 Go ou plus pour que les partitions n'imposent pas un lent aller-retour iCloud à la connexion.

Quelle différence entre un appareil Android multi-utilisateur et un appareil dédié ?

Un appareil dédié est verrouillé sur une app ou sur un petit ensemble d'apps, avec le MDM comme propriétaire de l'appareil et le mode lock task d'Android qui masque le reste du système. Le multi-utilisateur ajoute l'identité par-dessus : la documentation d'Android distingue les utilisateurs secondaires, dont les apps et les données persistent entre les sessions, des utilisateurs éphémères, que le système supprime à la déconnexion ou au redémarrage. Des chauffeurs-livreurs veulent les premiers, une borne d'accueil en libre accès veut les seconds.

Le RGPD impose-t-il un MDM hébergé en Europe ?

Non, et tout éditeur qui le prétend survend. Le RGPD exige un outil de transfert documenté et une analyse de risque pour les données personnelles qui quittent l'UE, deux obligations dont un hébergement dans l'UE vous dispense tout simplement. Les exigences de souveraineté sont un autre sujet : les organismes publics français et plusieurs appels d'offres relevant de NIS2 demandent SecNumCloud, et il s'agit d'une qualification accordée à une offre nommée dans une version nommée, jamais à une entreprise dans son ensemble. Demandez quelle offre est qualifiée et jusqu'à quand.

La présélection raccourcit vite une fois que vous avez séparé les appareils mutualisés des vraies sessions par utilisateur, puis filtré sur un hébergement que vous pouvez nommer lors d'un audit. Si votre flotte se compose de tablettes ou de téléphones partagés qui passent de main en main entre équipes de terrain et que vous voulez la console et les données en France, commencez par notre plateforme de mobile device management et un essai de 14 jours.